2013年02月26日 08時00分 UPDATE
特集/連載

OracleはJavaの執事にとどまれるか?「JavaはGoogleへ売却すべき」――脆弱性放置のOracleに忠告

Javaの脆弱性をなくせない米Oracleに批判が集まっている。だがOracleには、事業領域が急拡大する中、収益源ではないJavaへ十分なセキュリティ投資ができない内情もある。

[Andy Patrizio,TechTarget]

 企業が手にできる最悪の保証といえば、政府によるソフトウェア使用禁止令だろう。2013年1月10日(米国時間)、米Oracleに起きたことは、まさにそれだった。米国土安全保障省(DHS)が、全てのコンピュータユーザーに対して、重大な脆弱性があることを理由に、クライアントPCのJavaを無効にすべきだと警告したのだ。

 「Java 7 Update 10」に、「Red October」というグローバルマルウェアネットワークへ接続する重大な脆弱性悪用プログラム(エクスプロイト)が見つかった。そのエクスプロイトは、世界中の政府系機関にある数百台のクライアントPCに侵入し、数カ月間にわたって活動していた。

 Oracleは、脆弱性を修正した「Java 7 Update 11」をリリースした。だが直後に、その修正プログラム自身にも脆弱性があることがセキュリティ専門家たちによって指摘された。こうした事態を受けてDHSは、「WebブラウザでJavaを実行することが絶対不可欠でない限り、7u11(Java 7 Update 11)へアップデートした後も、下記の説明に従って無効にすること」と再び警告している。

 米セキュリティ企業、Rapid7の最高セキュリティ責任者(CSO)、HDムーア氏が米Reutersに語ったところによると、Oracleが現行バージョンのJavaで特定されたバグを完全に修正するまでには、最長2年はかかるという。同氏もまた、コンピュータからJavaをアンインストールするようにアドバイスしている。

 こうした問題は、特に新しくはない。Javaエクスプロイトは以前から存在しており、その数も多かった。ロシアKasperskyの報告書によると、2012年第3四半期に修正されたセキュリティ脆弱性の56%をJavaが占めており、Kasperskyの研究者たちもOracleへの厳しい評価を撤回していない。

 「他の企業がさまざまなレベルでセキュリティ対策を改善している中、ここ数年、Oracleは完全に停滞を続けてきた。このソフトウェアの安全性を高めるいかなる努力も、あるいはアップデートメカニズムの改善さえもなされてない。Oracleのセキュリティ脆弱性への対応は、全く不十分だ。簡単に修正できる脆弱性を何カ月も放置している」と語るのは、Kaspersky Labsの上級研究員、ロエル・ショーウェンバーグ氏である(参考:米Oracleの怠慢を批判――「Javaはアンインストールすべき」)。

 こうなると当然、次のような疑問が出てくる。果たしてOracleは、Java言語の見張り番として正しい会社なのだろうか?

この記事を読んだ人にお薦めのホワイトペーパー

この記事を読んだ人にお薦めの関連記事

Loading

注目テーマ

ITmedia マーケティング新着記事

news020.jpg

「自社の成長に自信がある」CEOはたった14%だが――2017年、調査で見る日本の底力
波乱万丈を予感させる2017年も、早3週間が過ぎようとしています。トランプ大統領は日本経...

news103.jpg

ダイナミックリターゲティング配信の「nex8」が 「MicroAd COMPASS」とRTB接続を開始
ファンコミュニケーションズは、リターゲティング広告配信サービス「nex8」をマイクロア...

news088.jpg

見込み客情報が「足りている」企業は2割未満──SATORIがB2Bマーケティングの実態を調査
SATORIは、国内B2B企業におけるマーケティングの実施状況や課題、成果についての調査を実...